# PHP 8.1 i starije: što sada vrijedi

> PHP 8.1 i stariji ne dobivaju službeno ažuriranje protiv PHP2Shella. Što znače backportovi izvornog koda, kako osigurati poslužitelj i planirati prelazak.

Izvor: https://phpsos.de/hr/php2shell/php-8-1-und-aelter/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** Za PHP 8.1 sigurnosnu ranjivost PHP2Shell nema službenog ažuriranja. PHP projekt za 7.4, 8.0 i 8.1 isporučuje samo minimalne backportove izvornog koda, a ne gotova izdanja. Tko koristi te verzije, treba potvrđeni backport svog pružatelja ili privremene mjere te bi sada trebao planirati prelazak na podržanu verziju.

## Postoji li ažuriranje protiv PHP 8.1 sigurnosne ranjivosti?

Ne od PHP projekta. Dana 21. listopada 2026. službeni ispravci izašli su samo za podržane grane: 8.5.12, 8.4.27, 8.3.36 i 8.2.35. PHP 8.1 i starije verzije više ne dobivaju službena ažuriranja.

Pogođene su ipak. Prema stručnom tisku ranjive verzije gotovo neprekinuto sežu unatrag do PHP-a 5.4. Tko javno dostupno koristi jednu od tih verzija, ima kritičnu ranjivost s 9,2 prema CVSS-u v4.0 bez gotove zakrpe.

Za mnoge je tvrtke to iznenađenje jer takvi sustavi često godinama rade stabilno i neupadljivo. Da verzija više ne dobiva ažuriranja, u svakodnevici se ne primjećuje dok se ne pojavi ranjivost poput PHP2Shella. Backportovi izvornog koda za 7.4, 8.0 i 8.1 su iznimka, a ne nastavak redovitog održavanja.

## Što backportovi izvornog koda znače

Za 7.4, 8.0 i 8.1 postoje minimalni backportovi izvornog koda. To su ispravci u izvornom kodu preneseni na te starije grane. Nisu službeno izdanje s brojem verzije, testiranim paketom i changelogom.

Praktično to znači: netko mora preuzeti backport, iznova izgraditi PHP iz njega, testirati i instalirati. To se može dogoditi na tri načina:

- **Vaša distribucija** preuzima ispravak u svoje pakete, primjerice u sklopu dugoročne skrbi.
- **Vaš pružatelj hostinga** gradi vlastite PHP pakete i ugrađuje backport.
- **Vi sami** ili davatelj usluga gradite PHP iz izvornog koda. To je zahtjevno i mora se ponoviti kod svake daljnje ranjivosti.

Je li Vaš sustav dobio backport, provjeravate u changelogu paketa:

```bash
apt changelog php8.1-fpm | grep -i -E "CVE-2026-109618|CVE-2026-109619"      # Debian/Ubuntu
rpm -q --changelog php-fpm | grep -i -E "CVE-2026-109618|CVE-2026-109619"    # obitelj RHEL
```

Nazivi paketa razlikuju se po distribuciji i izvoru paketa. Ako unosa nema, pitajte pružatelja. Kako provjera funkcionira u detalje, piše na stranici [Ispravna provjera verzije PHP-a i stanja zakrpe](https://phpsos.de/hr/php2shell/php-version-pruefen/).

## Osigurati stari poslužitelj do migracije

Dok ne radi potvrđeni backport, vrijede privremene mjere php.net-a: `memory_limit=-1` bez mogućnosti nadjačavanja s ograničenjem memorije putem cgroupa, `post_max_size` od 8M ili 32M uz `upload_max_filesize` ispod toga i `session.upload_progress.enabled=0` u konfiguraciji poslužitelja, nakon čega se svi workeri ponovno pokreću. One nisu potpuna zaštita. Pojedinosti na stranici [Hitne mjere ako još ne možete zakrpati](https://phpsos.de/hr/php2shell/sofortmassnahmen-ohne-patch/).

Uz to dolaze mjere koje smanjuju dostupnost: administratorska područja samo putem VPN-a ili odobrenih IP adresa, isključivanje nepotrebnih web-stranica, strogo ograničavanje pristupa poslužitelju. BSI (njemački Savezni ured za sigurnost informacijske tehnologije) preporučuje poslužitelje bez ažuriranja privremeno isključiti s mreže. Za staru, teško migrabilnu aplikaciju izolirano rješenje može biti iskreniji odgovor od rada na otvorenom internetu.

> **Djelujte odmah:**
> Ako je poslužitelj s PHP-om 8.1 ili starijim od 17. listopada bio nezaštićen na mreži, shvatite to ozbiljno: BSI je računao s brzim iskorištavanjem u velikom opsegu. Osigurajte zapisnike od 20. listopada i dajte poslužitelj provjeriti zbog tragova prije nego što migrirate.

## Planirati migraciju: na koju verziju?

Cilj je verzija koju PHP projekt podržava i koju Vaša aplikacija podnosi. PHP 8.2 zatvara ranjivost od 8.2.35, ali 31. 12. 2026. doseže kraj podrške. Tko sada migrira, trebao bi stoga ići na 8.3 ili noviju, ako aplikacija to dopušta. Aktualno stanje navodi php.net na stranici podržanih verzija.

Koju verziju PHP-a podržava Vaš CMS ili shop, provjerite prema sistemskim zahtjevima proizvođača, primjerice na wordpress.org, shopware.com ili typo3.org. Često se prvo mora ažurirati sama aplikacija prije nego što se PHP može promijeniti. Tipičan slučaj su stariji shopovi koje opisujemo na stranici [Shopware 5](https://phpsos.de/hr/plattformen/shopware-5/). Pozadinu o posljedicama zastarjelih verzija pronaći ćete na stranici [PHP End of Life: rizici zastarjelih verzija](https://phpsos.de/hr/ratgeber/php-end-of-life-risiken/).

| Korak | Sadržaj |
|---|---|
| Stanje | verzija PHP-a, aplikacija, proširenja, vlastite prilagodbe |
| Zahtjevi | podržane verzije PHP-a prema proizvođaču |
| Testno okruženje | kopija s novom verzijom PHP-a, analiza zapisnika pogrešaka |
| Prelazak | planirani prozor za održavanje, pripremljen povratni put |
| Dorada | provjeriti prijelazne vrijednosti, postaviti nadzor |

## Kako PHP SOS konkretno pomaže?

Uz [migraciju s PHP-a 8.1 i starijeg](https://phpsos.de/hr/leistungen/php-migration-legacy/) vodimo Vas od stare verzije do podržane:

- **Odmah osigurati:** provjeriti stanje backporta, postaviti privremene mjere, smanjiti dostupnost.
- **Provjeriti tragove:** osigurati zapisnike od 20. listopada i analizirati upadljivosti.
- **Pripremiti migraciju:** razjasniti kompatibilnost prema proizvođaču, izgraditi testno okruženje, otkloniti pogreške.
- **Prijeći i dokazati:** instalirati novu verziju PHP-a, ponovno pokrenuti sve procese, dokumentirati stanje.


## Česta pitanja

**Je li PHP 8.1 pogođen PHP2Shellom?**  
Prema stručnom tisku pogođene su gotovo sve verzije sve do PHP-a 5.4, uključujući PHP 8.1. PHP projekt za 8.1 više ne objavljuje službena ažuriranja, nego samo minimalne backportove izvornog koda.

**Što je backport izvornog koda?**  
Ispravak u izvornom kodu koji je prenesen na stariju granu verzija. To nije gotovo izdanje: netko ga mora preuzeti, iznova izgraditi PHP, testirati i instalirati. To može preuzeti pružatelj Vaše distribucije, Vaš pružatelj hostinga ili davatelj usluga.

**Je li dovoljno prijeći na PHP 8.2?**  
Kratkoročno PHP 8.2.35 zatvara ranjivost. PHP 8.2 ipak 31. 12. 2026. doseže kraj podrške. Tko ionako migrira, trebao bi stoga provjeriti podržava li aplikacija prema proizvođaču i 8.3 ili noviju.

**Moj shop radi samo s PHP-om 7.4. Što sada?**  
Tada su paralelno potrebne dvije stvari: osigurati poslužitelj privremenim mjerama i izolacijom te aplikaciju dovesti do verzije koja podnosi podržanu verziju PHP-a. Koja je to, piše u sistemskim zahtjevima proizvođača.

## Izvori

- [php.net: podržane verzije](https://www.php.net/supported-versions.php)
- [php.net: sigurnosne objave](https://www.php.net/)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)
- [Shopware](https://www.shopware.com/)